EToken
eToken (от англ. electronic — электронный и англ. token — признак, жетон) — торговая марка для линейки персональных средств аутентификации в виде USB-брелоков и смарткарт, а также программные решения с их использованием. Торговая марка была создана израильской компанией Aladdin Knowledge Systems (англ.)русск., впоследствии приобретённой SafeNet (англ.)русск.[1].
Заявляется наличие сертификатов ФСБ и ФСТЭК России на продукты eToken[2].
[править] Современные модели
[править] Перечень современных моделей
- eToken PRO и eToken PRO (Java) — смарт-карты и USB-ключи, являющиеся полнофункциональными аналогами смарт-карт;
- eToken GT — недорогой аналог USB-ключей eToken PRO (Java), отличающийся лишь меньшим объёмом памяти;
- eToken NG-FLASH и eToken NG-FLASH (Java) — USB-ключи, сочетающие в себе возможности смарт-карт и USB флэш-накопителей;
- eToken NG-OTP и eToken NG-OTP (Java) — USB-ключи, сочетающие в себе возможности смарт-карт и генераторов одноразовых паролей;
- eToken PASS — OTP-токен (аппаратный генератор одноразовых паролей);
- eToken Virtual — программный эмулятор смарт-карты;
- MobilePASS — программный генератор одноразовых паролей.
[править] Классификация
[править] По функциональным возможностям
Функциями смарт-карт обладают все современные модели eToken, за исключением eToken PASS и MobilePASS.
Функциями USB флэш-накопителей обладают комбинированные устройства eToken NG-FLASH и eToken NG-FLASH (Java).
Функциями OTP-токенов (устройств для генерации одноразовых паролей) обладают eToken NG-OTP, eToken NG-OTP (Java), eToken PASS и MobilePASS.
[править] По видам обеспечения
Различные модели eToken являются аппаратными устройствами, за исключением программных средств eToken Virtual и MobilePASS.
[править] По программно-аппаратным платформам[3]
eToken NG-Flash, eToken NG-OTP и eToken PRO созданы на основе операционной системы Siemens CardOS и микросхем Infineon.
eToken GT, eToken NG-Flash (Java), eToken NG-OTP (Java) и eToken PRO (Java) построены на платформе eToken Java (операционная система Athena OS755 и микросхема Atmel), в которой реализована технология Java Card с учётом стандарта Global Platform.
[править] По форм-факторам[4]
| Форм-фактор | Модели | Иллюстрация | |||||||
|---|---|---|---|---|---|---|---|---|---|
| USB-ключ |
|
|
|||||||
| USB-ключ с генератором одноразовых паролей |
|
|
|||||||
| OTP-токен | eToken PASS |
|
|||||||
| смарт-карта |
|
|
[править] Среда функционирования
Программное обеспечение eToken PKI Client, обеспечивающее работу eToken с функциями смарт-карт, функционирует под управлением операционных систем:
Аппаратные OTP-токены eToken требуют для своей работы сервер управления TMS, функционирующий на платформе Microsoft Windows Server 2003 или 2008.
Программное средство eToken Virtual способно функционировать под управлением операционных систем:
- CentOS 5.2;
- Fedora 9;
- Mac OS X 10.4 и 10.5;
- Microsoft Windows Server 2003 и 2008, Vista и XP;
- openSUSE 10.3;
- Red Hat Enterprise Linux 5.2;
- Ubuntu 8.04 (32-bit).
Программное средство MobilePASS функционирует в следующей среде:
- сервер управления TMS 5.0 или SafeWord 2008;
- клиенты с программным обеспечением BlackBerry, Java ME, Symbian OS, Windows Mobile или поддерживающие технологию SMS (только при использовании сервера SafeWord 2008).
[править] Приложения
[править] Check Point VPN-1 SecuRemote и VPN-1 SecureClient
Check Point VPN-1 SecuRemote и VPN-1 SecureClient поддерживают аутентификацию, основанную на использовании сертификатов открытого ключа и закрытых ключей в памяти смарт-карт и их аналогов. При наличии на клиентском компьютере драйвера eToken[6] для установления VPN-соединения можно использовать eToken, в памяти которого имеется закрытый ключ и соответствующий ему сертификат открытого ключа, дающий владельцу право подключения.
[править] eToken Network Logon
eToken Network Logon — разработанное компанией Aladdin Knowledge Systems приложение, позволяющее сохранять имя пользователя, пароль и имя домена Windows в памяти eToken и затем использовать eToken в процессе аутентификации. При назначении нового пароля и смене пароля может использоваться встроенный в eToken Network Logon датчик случайных чисел, в результате чего пользователь может даже не знать свой пароль и, следовательно, не иметь возможности входить в систему без eToken. Помимо аутентификации с использованием подставляемых из памяти eToken паролей, eToken Network Logon поддерживает имеющийся в Windows 2000-Server 2008 механизм аутентификации с использованием сертификатов открытого ключа и закрытых ключей в памяти смарт-карт и их аналогов.
[править] eToken SafeData и «Крипто БД»
eToken SafeData[7] и «Крипто БД» — средства криптографической защиты информации (СКЗИ), разработанные российской компанией Aladdin. Они позволяют шифровать данные в отдельных колонках таблиц баз данных Oracle. При этом ключи шифрования хранятся в базе данных зашифрованными с использованием открытых ключей пользователей, а закрытые ключи пользователей хранятся в памяти eToken. В результате для обращения к зашифрованным данным пользователи должны задействовать свои eToken, в памяти которых хранятся закрытые ключи, соответствующие открытым ключам, с помощью которых зашифрованы ключи шифрования. Отличие eToken SafeData от «Крипто БД» состоит в используемых этими СКЗИ криптографических алгоритмах:
- eToken SafeData шифрует данные по алгоритмам DES, Triple DES, AES и RC4, а ключи шифрования — по алгоритму RSA;
- «Крипто БД» шифрует данные по алгоритмам, соответствующим ГОСТ 28147-89 и RFC 4357, защищает ключи шифрования с использованием алгоритмов, описанных в ГОСТ Р 34.10-2001 и RFC 4490.
[править] eToken SecurLogon для Oracle
eToken SecurLogon для Oracle — разработанное российской компанией Aladdin программное средство, в котором поддерживаемый в Oracle 8i Database Release 3 (8.1.7) Enterprise Edition и позднейших версиях СУБД Oracle механизм аутентификации с использованием сертификатов открытого ключа и закрытых ключей реализован с применением eToken в качестве ключевого носителя. Помимо отдельного продукта, eToken SecurLogon для Oracle представляет собой компонент средств криптографической защиты информации (СКЗИ) eToken SafeData и «Крипто БД», устанавливаемый на автоматизированном рабочем месте пользователей этих СКЗИ.
[править] eToken SecurLogon для SAP R/3
eToken SecurLogon для SAP R/3 — разработанное компанией «АстроСофт» программное средство, позволяющее сохранять параметры подключения клиента к серверу приложений SAP R/3 в памяти eToken и в дальнейшем использовать eToken с сохранёнными реквизитами для аутентификации в системе SAP R/3.
[править] eToken Single Sign-On
eToken Single Sign-On — разработанное компанией Aladdin Knowledge Systems приложение, позволяющее сохранять заполненные формы HTML и Windows в памяти eToken и затем автоматически подставлять в эти формы данные, сохранённые в памяти eToken. Благодаря этому eToken можно использовать как средство аутентификации во всех веб-приложениях, у которых интерфейс аутентификации представляет собой HTML-форму и во всех приложениях, у которых интерфейс аутентификации представляет собой диалоговое окно Windows. Работа c HTML-формами поддерживается только в Internet Explorer и Mozilla Firefox.
[править] IBM Lotus Notes и Domino
Начиная с версии 6.0, IBM Lotus Notes и Domino поддерживают аутентификацию c использованием смарт-карт и их аналогов. При наличии на компьютере драйвера eToken[6] ID-файл, использующийся для аутентификации пользователя или сервера, может быть преобразован таким образом, чтобы его нельзя было применять, не подключая eToken и не вводя PIN-код.
При обращении к защищённому серверу Domino через веб-интерфейс по протоколу HTTPS eToken можно использовать для аутентификации клиента.
Помимо аутентификации, eToken можно использовать в Lotus Notes для подписи и расшифрования электронных писем.
[править] Microsoft Windows
Аппаратные eToken с функциями смарт-карты можно использовать для интерактивной аутентификации в домене Windows 2000-Server 2008. При наличии на компьютере драйверов eToken[6] рабочий стол аутентификации позволяет не только вводить имя пользователя, пароль и имя домена, как обычно, после нажатия клавиш CTRL+ALT+DELETE, но и вместо нажатия этого сочетания клавиш подключать смарт-карту (eToken) и вводить PIN-код. Кроме того, начиная с Windows XP стало возможным использовать смарт-карты, в том числе eToken, для аутентификации при запуске приложений от имени другого пользователя.
Помимо использования eToken в качестве средства аутентификации, он ещё может использоваться для обеспечения безопасности рабочего места в отсутствие пользователя. Windows 2000–Server 2008 можно настроить таким образом, что компьютер будет блокироваться при отсоединении eToken.
Для использования eToken в качестве средства аутентификации в домене Windows необходим развёрнутый и специально для этого настроенный центр сертификации предприятия (Microsoft Enterprise CA). Средствами eToken генерируется ключевая пара, и центр сертификации выпускает для пользователя сертификат открытого ключа, в котором в политику использования закрытого ключа включён пункт «вход со смарт-картой». После этого администратор может распространить на пользователя объект политики безопасности, запрещающий вход в систему без смарт-карты, в результате чего пользователь не сможет входить в систему без использования eToken, в памяти которого хранится подготовленный сертификат открытого ключа и соответствующий ему закрытый ключ.
[править] Novell Modular Authentication Service
Novell Modular Authentication Service (NMAS) — это компонент Novell eDirectory, обеспечивающий механизмы аутентификации в различных системах пользователей, зарегистрированных в этой службе каталогов. Начиная с версии 2.1, NMAS позволяет использовать eToken при аутентификации пользователей, на рабочих местах которых установлена операционная система Microsoft Windows 95 Service Release 2B, NT 4.0 SP 6a или позднейшие версии Windows.
[править] Oracle Application Server
Oracle Application Server поддерживает механизм аутентификации с использованием сертификатов открытого ключа и закрытых ключей. Размещая закрытые ключи пользователей в памяти eToken, можно применять eToken для аутентификации пользователей в Oracle Application Server без использования eToken Single Sign-On.
[править] Oracle E-Business Suite
Oracle E-Business Suite поддерживает интеграцию с механизмом аутентификации Oracle Application Server Single Sign-On. При использовании такой интеграции возможна аутентификация пользователей Oracle E-Business Suite на основе сертификатов открытого ключа и закрытых ключей в памяти eToken.
Если интеграция с Oracle Application Server Single Sign-On не задействуется, то решение по аутентификации пользователей в Oracle E-Business Suite строится следующим образом:
- аутентификация пользователей на веб-сервере — на основе сертификатов открытого ключа и закрытых ключей в памяти eToken;
- аутентификация пользователей на сервере Forms — с помощью eToken Single Sign-On.
[править] Token Management System
Token Management System (TMS) — разработанное компанией Aladdin Knowledge Systems приложение, позволяющее осуществлять учёт и управление жизненным циклом eToken в масштабах предприятия. TMS интегрируется с Active Directory, связывает учётные записи пользователей с выданными им eToken, а также с выпущенными сертификатами открытого ключа и иными реквизитами. Политики использования eToken назначаются и применяются точно так же, как политики безопасности в домене Windows. Разработчики различных поддерживающих eToken приложений могут создавать так называемые коннекторы TMS, благодаря которым использование eToken в их приложениях может управляться средствами TMS.
[править] Конкурирующие продукты
В зависимости от набора своих функциональных возможностей, разные модели eToken конкурируют на рынке с продукцией различных производителей: ActivIdentity, Arcot, Entrust, Eutron, Feitian, Gemalto, Kobil Systems, MultiSoft, RSA Security (подразделение EMC), Vasco, Актив, БИФИТ, ОКБ САПР и других.
| Модели eToken | Конкурирующие продукты |
|---|---|
| USB-ключи eToken GT, eToken PRO и eToken PRO (Java) | ActivIdentity ActivKey SIM USB Token, Entrust USB Tokens, Feitian ePass, Eutron CryptoIdentity, Kobil mIDentity, MS Key, Rutoken ЭЦП, Vasco Digipass Key 1, ПCКЗИ «Шипка», Kaztoken |
| eToken NG-FLASH | Rutoken Flash |
| eToken NG-OTP | ActivIdentity ActivKey Display USB Token, Feitian OTP c400, Vasco Digipass 860 |
| eToken PASS | ActivIdentity Mini OTP Token, Entrust IdentityGuard Mini Token, Feitian OTP c100–c300, Kobil SecOVID Token III, RSA SecurID 700, Vasco Digipass Go |
| смарт-карты eToken PRO и eToken PRO (Java) | ActivIdentity Smart Cards, Feitian PKI card, Gemalto TOP, iBank 2 Key |
| eToken Virtual | ArcotID |
| MobilePASS | ActivIdentity Soft Tokens, ArcotOTP, Kobil SecOVID Soft Token, RSA SecurID software tokens, Vasco Virtual Digipass |
[править] Устаревшие модели
- eToken R1 — прототип первого USB-ключа eToken, не выпускавшийся серийно[8];
- eToken R2 — USB-ключ с защищённым микроконтроллером, выпускавшийся фирмой Aladdin Knowledge Systems до 2005 года;
- eToken RIC — USB-ключ с защищённым микроконтроллером, выпускавшийся российской компанией Aladdin до 2002 года.
[править] Недостатки
Моделям eToken c функциями смарт-карт присущи недостатки, свойственные всем устройствам, в которых PIN-код вводится не с собственной клавиатуры устройства, а с клавиатуры терминала, к которому устройство подключено: с помощью троянской программы злоумышленник может перехватить PIN-код и произвести неоднократное несанкционированное подписывание или шифрование любой информации от имени владельца устройства.[9][10]
[править] Примечания
- ↑ Aladdin Knowledge Systems приобретена SafeNet 31 марта 2010 года (Customers Benefit with Stronger Expertise and Broader Solution Offerings (англ.). SafeNet (1 апреля 2010). — пресс-релиз. Проверено 16 сентября 2010.).
- ↑ сертификаты на продукты eToken
- ↑ Классификация по программно-аппаратным платформам рассматривает только eToken с микросхемами смарт-карт.
- ↑ В классификацию по форм-факторам включены только аппаратные eToken.
- ↑ 1 2 3 4 eToken PRO и eToken PRO (Java) выпускаются в двух форм-факторах — USB-ключа и смарт-карты
- ↑ 1 2 3 Драйверы eToken распространяются в составе пакета eToken PKI Client. В операционной системе Microsoft Windows XP Embedded вместо eToken PKI Client используется «eToken для Windows XP Embedded».
- ↑ Ранние версии eToken SafeData выходили под названием eToken Secret Field.
- ↑ Причиной отказа от выпуска eToken R1 послужила обнаруженная в архитектуре этого устройства уязвимость, позволявшая злоумышленникам без знания PIN-кода получить доступ к защищённой памяти (eToken R1 Private Information Extraction (англ.). Grand Idea Studio. Проверено 27 августа 2009. ).
- ↑ Подробное описание атаки на токен с использованием трояна
- ↑ Сообщение об атаках на USB-токен
[править] Ссылки
- Легезо, Денис Безопасность финансовых услуг он-лайн (рус.). Intelligent Enterprise (17 марта 2009 года). Проверено 8 октября 2010.
- Ференец, Вадим ИБ в ТЭКе невозможна без управления доступом (часть 2-я) (рус.). CIO: руководитель информационной службы (28 апреля 2009 года). Проверено 8 октября 2010.
